De AI Act had een gat: de wet zegt wát makers van risicovolle AI moeten regelen, maar niet precies hóe. Dat gat begint dicht te gaan. Op 14 oktober verscheen in het Publicatieblad van de EU de eerste geharmoniseerde norm onder de wet: EN 18286, over kwaliteitsmanagement (Bron: EUR-Lex). De Europese Commissie noemt het “een belangrijke mijlpaal” (Bron: Europese Commissie). Wat staat er in, en wat heb jij eraan?
Wat er precies gebeurde
De norm zelf is niet nieuw. De Europese normalisatie-instituten CEN en CENELEC publiceerden EN 18286:2026 al in juli, en NEN nam hem op 31 juli over als Nederlandse norm (Bron: Praxikon). Nieuw is de juridische status. Met Uitvoeringsbesluit (EU) 2026/2274 van 12 oktober zette de Commissie de norm in het Publicatieblad; het besluit trad in werking op 14 oktober (Bron: EUR-Lex).
Dat verschil doet ertoe. Pas met die vermelding geldt het zogeheten vermoeden van conformiteit: volgt een maker de norm, dan gaat de toezichthouder ervan uit dat hij voldoet aan de eisen die de norm dekt (Bron: Nemko). Vóór 14 oktober kon niemand zich daarop beroepen.
Wat EN 18286 regelt
De norm hoort bij artikel 17 van de AI Act. Dat artikel verplicht aanbieders van hoog-risico-AI tot een gedocumenteerd kwaliteitsmanagementsysteem: afspraken over ontwerp en testen, datamanagement, risicobeheer, het melden van ernstige incidenten en het blijven volgen van een systeem nadat het op de markt is (Bron: Nemko).
Volgens de Commissie is EN 18286 opgebouwd rond de levenscyclus van een AI-systeem in plaats van rond de organisatie. Hij komt bovenop bestaande systemen zoals ISO/IEC 42001, ISO 9001 of ISO 13485 voor medische hulpmiddelen, zodat een bedrijf geen tweede, parallel systeem hoeft te draaien (Bron: Europese Commissie).
Beginner-tip Een geharmoniseerde norm is een soort officieel receptenboek. De wet zegt “zorg dat je kwaliteit bewaakt”, de norm zegt stap voor stap hoe. Je mag een ander recept gebruiken, maar dan moet je zelf bewijzen dat het gerecht klopt.
Wat de norm níet doet
Drie afbakeningen voorkomen misverstanden.
- Hij keurt geen AI-systeem goed. EN 18286 gaat over het kwaliteitssysteem van de maker, niet over de technische prestaties van een model. Het vermoeden van conformiteit geldt alleen voor de eisen die de norm dekt en is geen algemene goedkeuring (Bron: Nemko).
- Hij is niet verplicht. Wie de norm niet volgt, moet langs een andere weg aantonen dat hij aan artikel 17 voldoet (Bron: Nemko).
- ISO 42001 is geen vervanger. Die internationale norm is certificeerbaar, maar geeft onder de AI Act geen vermoeden van conformiteit. Een bijlage van EN 18286 bevat wel een vertaaltabel naar ISO/IEC 42001 en ISO 9001 (Bron: Comsure).
Gevorderden Het vermoeden geldt volgens Annex ZA van de norm voor artikel 17, lid 1, onder a tot en met m (Bron: Comsure). Check bij een audit welke clausules in die bijlage gemapt zijn voordat je “conform EN 18286” in een offerte zet.
Waarom dit het uitstel verklaart
De hoog-risico-eisen van de AI Act zijn eerder dit jaar via de Digital Omnibus uitgesteld: naar 2 december 2027 voor zelfstandige systemen en naar 2 augustus 2028 voor AI in producten (Bron: Comsure). Een van de redenen: de normen waarop bedrijven moesten bouwen, waren niet klaar. Die tijdlijn staat uitgebreid in ons overzicht van het AI Act-uitstel.
EN 18286 is daarvan de eerste die er ligt. De Commissie vroeg CEN en CENELEC om normen voor tien onderwerpen, waaronder risicobeheer, datakwaliteit, menselijk toezicht, nauwkeurigheid, robuustheid en cybersecurity (Bron: Europese Commissie). Voor de overige negen geeft de Commissie geen datum; ze schrijft alleen dat er “verdere geharmoniseerde normen” volgen (Bron: Europese Commissie).
Wat jij ervan merkt
Direct niets. De norm richt zich op bedrijven die AI bouwen voor toepassingen die de wet risicovol vindt, zoals het selecteren van sollicitanten, het beoordelen van kredietaanvragen of het nakijken in het onderwijs. Maar daar zit wel de winst voor jou. Wordt je cv straks door een AI-systeem gescreend, dan moet de maker vanaf december 2027 kunnen laten zien hoe hij fouten opspoort, incidenten meldt en het systeem blijft controleren. Met EN 18286 ligt er nu een gedeelde lat waaraan een toezichthouder dat kan toetsen. Wat je nu al mag vragen als een algoritme over jou beslist, lees je in onze uitleg over je rechten.
De echte test komt pas als de andere negen normen er zijn. Kwaliteitsmanagement is het papierwerk rond een systeem; of een AI-systeem eerlijk, nauwkeurig en veilig ís, hangt af van de normen die nog in de maak zijn.